当前位置：WooYun >> 漏洞信息

漏洞概要 关注数(24) 关注此漏洞

缺陷编号：wooyun-2014-061091

漏洞标题：大汉版通某系统越权+SQL注入

相关厂商：南京大汉网络有限公司

漏洞作者： 路人甲

提交时间：2014-05-17 21:25

修复时间：2014-08-15 21:26

公开时间：2014-08-15 21:26

漏洞类型：SQL注射漏洞

危害等级：高

自评Rank：20

漏洞状态：厂商已经确认

漏洞来源： http://www.wooyun.org，如有疑问或需要帮助请联系 [email protected]

Tags标签： 无

4人收藏 收藏
分享漏洞：

漏洞详情

披露状态：

2014-05-17： 细节已通知厂商并且等待厂商处理中
2014-05-19： 厂商已经确认，细节仅向厂商公开
2014-05-22： 细节向第三方安全合作伙伴开放
2014-07-13： 细节向核心白帽子及相关领域专家公开
2014-07-23： 细节向普通白帽子公开
2014-08-02： 细节向实习白帽子公开
2014-08-15： 细节向公众公开

简要描述：

大汉版通某系统某个文件越权+SQL注入

详细说明：

#1 漏洞文件
/xxgk/workflow/design/que_model.jsp
(该目录下多个文件越权访问)

1.jpg


该文件多个参数存在SQL注入漏洞，代码如下

<%
	//判断权限
	String userid =  Convert.getParameter(request, "userid");
	//当前页数
	String currpage = Convert.getParameter(request, "currpage");
	currpage = (currpage.equals("")) ? "1" : currpage;
	//条件//
	StringBuffer strSqlCondition = new StringBuffer(128);
	String que_classid = Convert.getParameter(request,"que_classid");
	String que_classname = Convert.getParameter(request,"que_classname");
	String que_keywords = Convert.getParameter(request, "que_keywords");
	String que_keywords1 = Convert.getParameter(request, "que_keywords1");
	que_keywords = ( que_keywords1.length() > 0 ) ? que_keywords1 : que_keywords;
	String b_valid = Convert.getParameter(request,"b_valid");		
	String b_child = Convert.getParameter(request,"b_child");		
	String starttime = Convert.getParameter(request,"starttime");	
	String endtime = Convert.getParameter(request,"endtime");		
	String strBillStatus =  Convert.getParameter(request,"strBillStatus");
	//删除后返回，刷新页面时不需要考虑是否有子流程
	if(strBillStatus.equals("R")){
		b_child = "";			
	}
	strSqlCondition.append(" 1=1 ");
	if (que_keywords.length() > 0) {
		strSqlCondition.append(" AND a.vc_modelname like '%" + que_keywords + "%'");
	}
	if(que_classid.length()>0){
		strSqlCondition.append(" AND a.vc_classid = '"+que_classid+"' ");
	}
	if(b_valid.length()>0){
		strSqlCondition.append(" AND a.b_valid = "+b_valid);
	}
	if(b_child.length()>0){
		strSqlCondition.append(" AND a.b_child = "+b_child);
	}
	if(starttime.length()>0){
		strSqlCondition.append(" AND a.dt_createtime >= '"+starttime+" 00:00:00'");
	}
	if(endtime.length()>0){
		strSqlCondition.append(" AND a.dt_createtime <= '"+endtime+" 23:59:59'");
	}
	strSqlCondition.append(" ORDER BY a.vc_code DESC");
//...
}


下面几个参数好像均存在注入

String que_classid = Convert.getParameter(request,"que_classid");
String que_classname = Convert.getParameter(request,"que_classname");
String que_keywords = Convert.getParameter(request, "que_keywords");
String que_keywords1 = Convert.getParameter(request, "que_keywords1");
que_keywords = ( que_keywords1.length() > 0 ) ? que_keywords1 : que_keywords;
String b_valid = Convert.getParameter(request,"b_valid");		
String b_child = Convert.getParameter(request,"b_child");		
String starttime = Convert.getParameter(request,"starttime");	
String endtime = Convert.getParameter(request,"endtime");		
String strBillStatus =  Convert.getParameter(request,"strBillStatus");


可以看出均没有任何过滤便进入了数据库...
由于这个注入漏洞的形成比较简单，就不多说，下面直接漏洞测试..
#2 采用sqlmap进行测试
由于网上有大量的实例，任意选取一个案例进行测试验证..
案例为：

http://xxgk.weifang.gov.cn/xxgk/workflow/design/que_model.jsp?que_keywords=&userid=1&que_classid=1&que_classname=1&que_keywords1=1&b_valid=1&b_child=2


2.jpg


sqlmap跑起来效果如图所示(这里仅测试一个参数)

3.jpg


漏洞证明：

3.jpg

修复方案：

过滤吧

版权声明：转载请注明来源 路人甲@乌云

漏洞回应

厂商回应：

危害等级：高

漏洞Rank：20

确认时间：2014-05-19 10:01

厂商回复：

感谢关注

最新状态：

暂无